Si bien los códigos QR existen hace mucho tiempo (fueron creados en 1994), el uso de esta tecnología parece haber explotado con la pandemia, en gran parte por su contribución al reducir la necesidad de contacto con superficies que puedan haber sido manipuladas por terceros y de esta manera minimizar los riesgos de contagio. Actualmente están siendo utilizados en diversos sectores y de distinta manera. Por ejemplo, para mostrar el menú de comidas de un restaurante, como medios de pago, solicitud de servicios, compartir un contacto, etc.

Sin embargo, como suele suceder con cualquier tecnología que se vuelve popular, también captó la atención de los cibercriminales que los están utilizando con fines maliciosos. En este artículo te contamos de qué forma pueden ser aprovechados los códigos QR por los estafadores para engañar a sus víctimas.

¿Qué es un código QR y cómo funciona?


QR es un acrónimo de Quick Response, en español “respuesta rápida”. Tal como su nombre lo indica, estos códigos, similares a los de barras, pero en dos dimensiones, están diseñados para ser leídos e interpretados rápidamente. En ellos se puede almacenar de forma matricial un máximo de 4296 caracteres alfanuméricos en las versiones más grandes, aunque los de uso público general suelen ser matrices más pequeñas para ser capturadas fácilmente desde la cámara del teléfono.
Los códigos QR poseen una estructura que permite que sean decodificados por aplicaciones que funcionan como lectores utilizando, por ejemplo, la cámara de fotos del teléfono. Las cadenas de texto codificadas dentro del QR pueden contener diferentes datos. La acción o el resultado obtenido luego de leer un código QR puede variar y va a depender de la aplicación que esté interactuando con dicho código. A partir de un código QR se pueden realizar acciones tales como: abrir una página web, descargar un archivo, agregar un contacto, conectarse a una red Wi-Fi e incluso realizar pagos, entre muchas otras. Los códigos QR son muy versátiles, se pueden personalizar, incluir logotipos e incluso hay versiones dinámicas que permiten cambiar el contenido o acción del QR en cualquier momento.

Formas en que puede ser utilizado un código QR para realizar acciones maliciosos

Dada la versatilidad de los códigos QR y la gran cantidad de acciones que se pueden realizar, el abanico de posibilidades para un cibercriminal es sumamente amplio. Si a esto le sumamos la cantidad de códigos QR que encontramos en bares, restaurantes, comercios, hoteles, aeropuertos e incluso plataformas de pagos y certificados de salud, la superficie de ataque se amplía aún más.

Algunos ejemplos de acciones maliciosas que podrían realizar los cibercriminales son:

1. Redirigir al usuario a una web maliciosa para robarle información

Los ataques de phishing ya no se propagan solamente por correo electrónico. Al igual que los atacantes emplean técnicas de malvertising o BlackHat SEO para dirigir a sus víctimas a sitios fraudulentos, podrían hacer lo mismo con los códigos QR. Especialmente si estos se encuentran en publicidades en la vía pública o en las áreas de atención al cliente de entidades financieras. Recientemente en Estados Unidos delincuentes colocaron en parquímetros públicos ubicados en distintas ciudades, calcomanías con falsos códigos QR que llevaban a las potenciales víctimas a un falso sitio para supuestamente realizar el pago con el objetivo de robar los datos financieros.

2. Descargar un archivo malicioso en el equipo de la víctima

Muchos bares y restaurantes utilizan códigos QR para que el usuario descargue un archivo PDF con el menú o instalen una aplicación para realizar el pedido. En este y otros contextos similares, un atacante podría fácilmente alterar el código QR para llevar al usuario a descargar un PDF malicioso o llevarlo a instalar una aplicación fraudulenta.

3. Realizar acciones en el dispositivo de la víctima

Los códigos QR pueden generar acciones directamente en el dispositivo lector, estas acciones dependerán de la aplicación que los esté leyendo —cuidado con las falsas apps de lectores de QR. Sin embargo, existen algunas acciones básicas que cualquier lector QR básico es capaz de interpretar. Por ejemplo, conectar el dispositivo a una red Wi-Fi, enviar un correo o un SMS con un texto predefinido, o guardar un contacto en el dispositivo. Si bien estas acciones en sí mismas no son maliciosas, la realidad es que podrían ser utilizadas por un atacante para conectar un equipo a una red intervenida, mandar mensajes en nombre de la víctima o agendar un contacto para un posterior engaño.

4. Desviar un pago o realizar solicitudes de dinero

La mayoría de las aplicaciones financieras digitales actuales permiten realizar pagos a través de códigos QR que contienen los datos del receptor del dinero. Muchas tiendas dejan estos códigos a la vista de sus clientes para facilitar la operación. Un atacante podría modificar este QR con sus propios datos y recibir así los cobros en su cuenta. También podría generar códigos con solicitudes de cobro de dinero para engañar a compradores, como le ocurrió a estos usuarios que denunciaron que fueron estafados con el envío de un falso código QR para realizar un pago.

5. Robar la identidad del usuario o el acceso a una aplicación

Muchos códigos QR se utilizan como un certificado para verificar información de una persona, como el documento de identidad o los pases sanitarios. En estos casos los códigos QR contienen información tan sensible como la que se encuentra en un documento de identidad o historia clínica, la cual un atacante podría obtener fácilmente escaneando el código QR.

Por otro lado, muchas aplicaciones (como WhatsApp, Telegram o Discord) utilizan códigos QR para autenticar la sesión de un usuario y permitirle acceder a su cuenta. Tal como ya ha ocurrido con WhatsApp, con ataques como QRLjacking los atacantes pueden engañar a un usuario suplantando la identidad del servicio y engañando al usuario para que escanee el QR proporcionado por el atacante.

En la mayoría de los casos que mencionamos, el atacante deberá crear un código QR malicioso que luego reemplazará por el código original para que la víctima escanee. Es decir, que muchos de estos riesgos se basan en la ingeniería social y en lograr engañar a la víctima.

Consejos para utilizar los códigos QR de forma segura

Al igual que con cualquier otra tecnología, el mejor consejo es siempre estar atento, prestar atención y ser consciente de las acciones que estamos realizando para evitar caer en un engaño. Además, algunas consideraciones particulares con respecto a los códigos QR que recomendamos son:

  • En el caso de los pagos con QR y operaciones financieras, verificar siempre que la transacción se haya realizado con éxito. Confirmar la operación tanto en el dispositivo del comprador, como en el del vendedor y asegurarse de haber recibido el dinero correctamente.
  • Si tienes códigos QR al alcance del público, comprueba regularmente que no hayan sido adulterados.
  • A la hora de generar un código QR utiliza un servicio de confianza para hacerlo. Además, verifica que el QR obtenido por el servicio este correcto y realiza la acción deseada.
  • Deshabilita la opción de realizar acciones automáticas al leer un código QR, como acceder a un sitio web, descargar un archivo o conectarte a una red Wi-Fi.
  • Verifica siempre la acción antes de realizarla. Revisa que la URL sea correcta, que el archivo descargado, los datos obtenidos o la acción realizada sea la esperada.
  • No compartas códigos QR con información sensible, tales como los que se utilizan para acceder a aplicaciones o los que se incluyen en documentos y certificados de salud. Evita sacarle fotos, no los compartas y almacénalos de forma segura.
  • Por supuesto, mantener siempre los dispositivos protegidos, contar con herramientas de seguridad y actualizar las aplicaciones. De esta forma, le será mucho más difícil a un cibercriminal comprometer nuestra información.